Initia, MoveVM 버그로 공격자가 270만 달러 조발행하자 L1 전면 중단

Initia, L1과 모든 롤업 동결

Initia는 10월 23일 금요일 15:41:30(UTC)에 보안 사고를 이유로 자사 L1 블록체인과 여기에 연결된 모든 롤업의 운영을 중단했다. 프로젝트 공식 X 계정에 올라온 중단 공지는 팀이 보안 업체, 검증인, 거래소와 협력해 피해 전체 범위를 파악 중이라고 밝히고, 다운타임 동안 유포되는 비공식 링크와 주장을 경계할 것을 사용자에게 당부했다. 온체인 데이터를 보면 체인은 블록 높이 23,365,925에서 멈췄으며 이후 새 블록은 생성되지 않았다. 약 20분 뒤 공동창업자 Ezaan Mangalji가 X에서 첫 기술 분석을 공유했다. Initia가 Cosmos SDK 위에 얹어 운영하는 MoveVM 실행 환경의 ‘데이 0(출고 시점 존재)’ 버그가 공격자가 L1에서 직접 추가 토큰을 발행할 수 있게 했다는 것이다. MoveVM은 Move 언어로 작성된 스마트 계약을 실행하는 가상머신으로, Cosmos SDK 기반 체인에서는 드문 선택이다. Mangalji의 ‘데이 0’ 표현은 이 결함이 이후 업데이트가 아니라 최초 배포 코드부터 존재했음을 뜻한다. 그는 네이티브 INIT 토큰 자체는 영향받지 않았다고 강조했다. 검증인들이 체인을 멈추기 전에 공격자는 약 270만 달러어치의 AUSD, ETH, USDC를 발행해 브리지로 빼냈다. 버그의 작동 방식은 공개되지 않았고, 최종 피해 규모도 아직 확정되지 않았다. Initia의 L1은 앱별 롤업 간 상호운용성과 유동성을 조율하는 역할을 하며, 이는 레이어 3 블록체인이 롤업 위에 쌓이는 구조와 한 단계 다른 배열이다. 스테이킹으로 네트워크를 보호하던 검증인들도 조사에 동원됐다. 사용자 입장에서는 예치, 스왑, 롤업 간 전송이 전부 즉시 멈췄다. 토요일 오전 기준 재시작 시각도, 공개된 버그 세부 정보도, 복구 계획도 없었다.

@initia · X 게시물

중단 공지.

X에서 보기

270만 달러는 어디로 갔나

온체인 기록이 공식 발표가 남긴 공백을 메워준다. 보안 연구자는 중단 14분 전인 15:27(UTC)에 토큰이 무제한 발행됐고 이미 약 260만 달러어치가 현금화됐으며 추가 전송이 진행 중이라고 경고했다. 이더리움 기록에 따르면 공격자 주소 0xDD92...edFA는 그보다 이른 15:03(UTC)부터 활동했다. 이 주소는 단일 트랜잭션(해시 0xeb5e85e76f00a7a84dfe4d2d6aab146a769785b3d80307c67dde14c79f36c5ae)으로 140만 AUSD를 1inch 애그리게이터에 통과시켰다. 체인이 멈춘 5초 후인 15:41:35(UTC), 같은 주소가 1,135.5 ETH를 새 이더리움 주소 0x358e...CAC8로 옮겼다. 이 전송은 이더리움에서 실행됐기 때문에 체인 중단의 영향을 받지 않았다. 토요일 오전 기준 새 주소는 1,135.5 ETH 전액을 그대로 보유하고 있었고 출금 움직임은 없었다. ETH가 2,381달러 근저에 있음을 감안하면 약 270만 달러어치로, Mangalji의 추산과 부합한다. AUSD 발행사 Agora는 밤새 두 차례 대응했다. Initia에는 자사 스마트 계약이 배포되어 있지 않고 그 체인에 존재하는 AUSD도 없으며, 다른 네트워크의 배포분은 전액 담보로 정상 운영 중이라는 것이다. 보안팀은 AUSD가 배포된 체인에서 공격자 주소가 보유한 AUSD를 동결하겠다고 밝혔다. 거래소의 움직임도 빨랐다. Upbit은 15:57(UTC)에 보안 사고 징후를 이유로 INIT 예치·출금을 중단했고 이후 변동성 확대 가능성을 고객에게 경고했으며, Bithumb도 같은 조치를 취했다. 거래 자체는 계속됐다. INIT는 24시간 동안 0.114달러에서 0.156달러 사이를 오갔고, 토요일 새벽 시세는 0.138달러 부근으로 세션 중 한때 +12.5%를 기록했다가 +4.6% 상승 수준이었다. 시가총액은 약 2,920만 달러 부근이다. 토큰은 2025년 5월의 역대 고점 1.42달러보다 약 90% 낮은, 깊은 약세장 구간에서 거래되고 있다.

기록이 남기고 열어둔 것

온체인 기록과 팀 발표를 겹쳐 보면 이번 사건은 흔치 않게 명확한 증거 궤적을 남겼다. 발행 트랜잭션 해시와 이후 전송은 모두 공개돼 누구나 검증할 수 있고, 새 주소에 놓인 1,135.5 ETH는 가장 선명한 회수 목표다. Agora의 동결 조치는 AUSD가 배포된 체인에서 그 자산의 일부를 되돌려올 수 있지만, ETH와 USDC 구간에는 비견할 만한 구제 수단이 없다. 열린 질문은 버그 그 자체다. 사후 분석도, 근본 원인 공개도, 재시작 일정도 없다. Initia가 검증된 복구 계획을 공개하기 전까지 네트워크의 모든 롤업은 동결 상태에 놓인다. 그리고 Cosmos SDK 기반 체인에서 구동되는 MoveVM의 데이 0 결함이라는 디테일은, 이번 주말 Move 계열 팀들이 감사 목록의 맨 위에 올릴 항목이다.